Cyberprzestępcy czy dobroczyńcy? Nowe ransomware wymaga 3 dobrych uczynków, żeby odzyskać dane

Hakerzy bawiący się w Robin Hooda, to nie jest temat, który pojawia się często w nagłówkach. Cyberprzestępcy infekujący ofiary ransomware najczęściej robią to dla własnej korzyści, ale jak się okazuje, są wyjątki. Ta ekipa nie żąda okupu za odszyfrowanie danych, ale spełnienia 3 dobrych uczynków.

Nowa grupa, która nazywa się GoodWill, nie wydaje się gonić za łatwym zarobkiem. Zamiast tego, od swoich ofiar wymaga prostych dobrych uczynków, jak przekazywanie koców bezdomnych, albo zabieranie potrzebujących dzieci na pizzę. Działania swoje mają udokumentować w mediach społecznościowych, a następnie otrzymają deszyfrator plików. Badacze bezpieczeństwa z CloudSEK, którzy piewsi zidentyfikowali grupę, uważają, że twórcy szkodliwego oprogramowania pochodzą z Indii lub mają tam siedzibę. Powiedzieli, że namierzyli adres e-mail dostarczony przez grupę oprogramowania ransomware do indyjskiego dostawcy zarządzanych usług bezpieczeństwa. Dodatkowo dwa adresy IP, 3[.]109.48.136 i 13[.]235.50.147, z którymi łączy się złośliwe oprogramowanie, znajdują się w Bombaju.

Grupa hakerów o nazwie GoodWill wypuściła nowe ransomware, które standardowo szyfruje dane ofiary. Przestępcy tym razem nie chcą jednak okupu, ale spełnienia 3 dobrych uczynków, według przygotowanego scenariusza. Działania mają na celu "przekształcenie w życzliwą istotę, stając się ofiarą ransomwae". Poszlaki wskazują, że hakerzy pochodzą z Indii.

Ponadto CloudSEK zauważył ciąg znaków w kodzie napisanym w języku "Hinglish", który według analityków wskazuje, że operatorzy pochodzą z Indii i mówią w języku hindi.  Oprogramowanie ransomware, które według badaczy jest napisane w .NET i wyposażone w UPX, wykorzystuje AES do szyfrowania plików na zainfekowanych komputerach z systemem Windows. Istnieją dowody, że próbuje również wykryć geolokalizację zhakowanego urządzenia. Po zainfekowaniu komputera ofiary ransomware GoodWill szyfruje dokumenty, zdjęcia, filmy, bazy danych i inne pliki. A następnie zostawia instrukcję co trzeba zrobić, żeby je odzyskać.

Przestępcy zlecają ofierze dostarczenie świeżych ubrań lub koców potrzebującym, nagranie swoich działań, a następnie opublikowanie materiału na Facebooku, Instagramie itp. z wykorzystaniem ramki dostarczonej ofierze. Ramka ta ma napis "Pomagam ludziom w potrzebie", a w środku jest miejsce na wizerunek ofiary z podpisem "Jestem bardzo, bardzo miły". Kolejne żądanie to zabranie pięciorga biednych dzieciaków z okolicy na pizzę, zrobienie selfie i opublikowanie w mediach. Ostatnie zadanie to pomoc finansowa biednej osobie w szpitalu i zrobienie sobie selfie.

Po wykonaniu wszystkich trzech zadań ofiary muszą również "napisać piękny artykuł" w mediach społecznościowych o tym, "jak przekształcili się w życzliwą istotę ludzką, stając się ofiarą oprogramowania ransomware o nazwie GoodWill”.  Po tym wszystkim ofiara otrzyma narzędzie do deszyfrowania.